Uitspraak
22 februari 2011
Strafkamer
nr. 09/02184
Hoge Raad der Nederlanden
Arrest
op het beroep in cassatie tegen een arrest van het Gerechtshof te 's-Hertogenbosch van 12 september 2008, nummer 20/000628-07, in de strafzaak tegen:
[Verdachte], geboren te [geboorteplaats] op [geboortedatum] 1986, wonende te [woonplaats].
1. Geding in cassatie
1.1. De beroepen zijn ingesteld door de verdachte en de Advocaat-Generaal bij het Hof. Namens de verdachte heeft mr. S.B.J. Hiemstra, advocaat te Haarlem, bij schriftuur een middel van cassatie voorgesteld. De schriftuur is aan dit arrest gehecht en maakt daarvan deel uit.
De Advocaat-Generaal bij het Hof heeft bij schriftuur een middel van cassatie voorgesteld. De schriftuur is aan dit arrest gehecht en maakt daarvan deel uit.
De Advocaat-Generaal Knigge heeft geconcludeerd tot vernietiging van de bestreden uitspraak, doch uitsluitend wat betreft de opgelegde straf, tot vermindering daarvan en tot verwerping van de beroepen voor het overige.
1.2. De raadsman heeft schriftelijk op de conclusie gereageerd.
2. Beoordeling van het namens de verdachte voorgestelde middel
2.1. Het middel komt op tegen de verwerping van het verweer dat geen sprake kan zijn van overtreding van art. 138a (oud) Sr, zoals aan de verdachte onder 1 is tenlastegelegd, omdat geen beveiliging is doorbroken en omdat geen technische ingreep heeft plaatsgevonden.
2.2.1. Ten laste van de verdachte is onder 1 bewezenverklaard dat:
"hij op tijdstippen in de periode van 1 juni 2005 tot en met 4 oktober 2005 te Loon op Zand, althans in Nederland, tezamen en in vereniging met een ander, telkens opzettelijk wederrechtelijk in een geautomatiseerd werk voor de opslag of verwerking van gegevens, te weten computers, is binnengedrongen, waarbij hij, verdachte en zijn medeverdachte de beveiliging hebben doorbroken, in elk geval de toegang hebben verworven door een technische ingreep, met behulp van valse signalen en/of door het aannemen van een valse hoedanigheid, namelijk telkens door, gebruikmakend van één of meer kwetsbaarheden in het besturingssysteem van Windows, een (al dan niet door verdachte gemaakte/ontwikkelde) versie van een virus, onder meer bekend onder de naam Toxbot, te (doen) verspreiden en/of te (doen) installeren waarna hij, verdachte en zijn mededader, door tussenkomst van het geautomatiseerde werk waarin zij zijn binnengedrongen de toegang hebben verworven tot geautomatiseerde werken van derden".
2.2.2. Het Hof heeft het in het middel bedoelde verweer als volgt samengevat en verworpen:
"D1.
Zijdens verdachte is door de raadsman ter terechtzitting in hoger beroep bepleit dat verdachte wordt vrijgesproken van het onder 1 ten laste gelegde nu niet bewezen kan worden dat een (minimale) beveiliging is doorbroken dan wel dat een technische ingreep gepleegd is door verdachte en/of zijn medeverdachte, zoals, aldus de verdediging, vereist op grond van artikel 138a van het Wetboek van Strafrecht.
D2.
Het hof overweegt hiertoe het volgende.
Op grond van het verhandelde ter terechtzitting in hoger beroep stelt het hof onder meer het volgende vast.
(bijlage A000:)
a. Op 31 mei 2005 wordt door de Security Manager van het reken- en netwerkdienstencentrum genaamd SARA aangifte gedaan terzake computervredebreuk (bijlage 2 van bijlage A000).
b. Getuige [getuige 1] bleek een bestand met alle beheerderswachtwoorden van de computersystemen waarover SARA het beheer heeft, te hebben ontvangen van verdachte (bijlage 3 van bijlage A000).
(bijlage A001:)
c. Verdachte (Het hof: zichzelf ook wel [verdachte] noemend) vertelt in een chatsessie van 25 mei 2005 met [getuige 1] (het hof: zichzelf [getuige 1] noemend) dat hij beschikt over een botnet.
d. Uit een chatsessie van 12 april 2005 met [getuige 1] blijkt dat [verdachte] beschikt over de domeinnamen devtech.us, randomized.it, memzero.info, lsass.org, lsass.com, lsass.cc en devnologie.info.
e. Op de website van de antivirusmaatschappij Symantec staat een beschrijving van een bot met de naam W32.toxbot.b. In de beschrijving staat vermeld dat deze bot verbinding maakt met onder meer bovengenoemde domeinen (bijlage 9 van bijlage A001).
f. In een chatsessie van 29 maart 2005 met [getuige 1] verwijst [verdachte] naar betreffende beschrijving van Symantec van W32.toxbot.b en zegt (onder meer): "stomme av's, 'toxbot', had er duidelijk '[...]' op geplakt." (Het hof: zie in dit verband ook onder k).
g. [verdachte] verklaart in deze chatsessie verder dat hij sinds 2001 beschikt over bots, dat hij in de door hem gemaakte bot de toetsaanslagen op de binnengedrongen computers vastlegt en dat hij in 2003 heeft ontdekt hoeveel geld je ermee kunt verdienen.
h. Op basis van bovenstaande informatie werd een opsporingsonderzoek opgestart naar vermeende computervredebreuk.
(Proces-verbaal B1:)
i. Op grond van het onderzoek bleek verdachte samen met medeverdachte [medeverdachte] een botnetwerk te beheren. In het internetverkeer was zichtbaar dat verdachte een virus dat hij beheerde en mogelijk muteerde regelmatig verstuurde naar [medeverdachte].
Zichtbaar was dat beiden commando's gaven aan het botnetwerk dat zij beheerden om nieuwe versies van het virus te verspreiden.
j. Tevens was zichtbaar dat de servers van het botnetwerk informatie gaven over de omvang van het botnetwerk. Zo was op 11 juli 2005 zichtbaar dat het botnetwerk uit meer dan 30.000 systemen bestond en op 8 augustus 2005 uit 50.095 systemen (bijlage 3 van proces-verbaal B1).
(Proces-verbaal B1.1:)
k. In een chat van 18 juli 2005 zegt verdachte dat hij eindelijk respect heeft en verwijst hij naar een website waarbij iemand refereert aan een virus met de naam Win32. [verdachte] en zegt hij dat de anderen het 'codbot' noemen en Symantec 'toxbot' (bijlage 1 van proces-verbaal B1.1).
l. In een testopstelling werd deze bot getest en werden de functionaliteiten beschreven. In een aanvullend proces-verbaal van 17 juli 2008 van verbalisanten [verbalisant 1] en [verbalisant 2] wordt een nadere omschrijving gegeven van de computers die zijn gebruikt in deze testopstelling (Het hof: zie hierna).
(Aanvullend proces-verbaal 17 juli 2008:)
m. In de testopstelling werden computers gebruikt die waren voorzien van het besturingssysteem Windows XP. Gebruikers van Windows XP kunnen er voor kiezen om dit systeem automatisch te laten voorzien van updates. Periodiek worden deze updates cumulatief aangeboden, zodat gebruikers ook in één keer alle updates kunnen installeren. Deze cumulatieve updates worden ook wel servicepacks genoemd. Ten tijde van het onderhavige onderzoek waren er reeds twee servicepacks, te weten Service Pack 1 (september 2002) en Service Pack 2 (augustus 2004). Het infecteren door de Toxbot blijkt te geschieden door het doorbreken van een beveiliging in Windows (XP) systemen die niet zijn voorzien van servicepack 2. Deze vorm van infectie is nagebootst in de testopstelling.
n. Door middel van deze infectiemethode kan het Toxbot virus een systeem binnendringen en zich daar nestelen als een programma. Om zich op deze manier als programma in een systeem als Windows te nestelen zijn 'administrator' of 'SYSTEM' rechten vereist op de betreffende computer.
o. Een standaard Windows XP installatie is beveiligd tegen het inloggen van buitenaf om daar vervolgens door middel van het gebruik van SYSTEM en/of administrator rechten programma's op te installeren.
(rapportage [verbalisant 1] 26 augustus 2008:)
p. Het Windows XP systeem is voorzien van talloze beveiligingen om onbevoegden van het systeem te weren. Het ontwikkelen van de updates en periodieke servicepacks is een reactie op de manieren die ontwikkeld zijn door hackers om deze beveiligingen te doorbreken of te omzeilen.
q. Uitgaande van het gegeven dat Windows XP standaard is voorzien van beveiliging is er voor gekozen om in de testopstelling gebruik te maken van XP systemen die niet zijn voorzien van updates of servicepacks. Temeer ook, omdat virussen als Toxbot zich juist richten op deze PC's.
r. In 2003 werden manieren ontdekt om via ingangen van hidden shares een beveiliging te doorbreken. Door middel van het opzettelijk geven van verkeerde signalen aan delen van het Windows besturingssysteem van PC's kan een systeem dusdanig in de war raken dat delen tijdelijk onbruikbaar raken of zelfs crashen. Dit is ook waargenomen bij de werking van het Toxbotvirus.
s. Om te voorkomen dat een (Toxbot)virus direct wordt gedetecteerd door een virusscanner wordt door hackers een techniek genaamd packing gebruikt. Deze techniek zorgt ervoor dat het virus wordt 'ingepakt' in een gecomprimeerd en versleuteld be-stand, waardoor het ondetecteerbaar blijft voor virusscanners.
(Proces-verbaal BI.2:)
t. Op 2 augustus 2005 wordt via afgetapte internetdata bij verdachte waargenomen dat op 28 juli 2005 een update commando werd gegeven door [verdachte] aan het botnetwerk. Dit commando hield in dat de geïnfecteerde computers in het botnetwerk de opdracht krijgen om ergens op het internet een nieuwe bot, genaamd tox.exe te downloaden en starten.
u. Het bestand tox.exe is door verbalisant [verbalisant 1] uitgevoerd op een computer met het Windows besturingssysteem. Het programma tox.exe bleek een nieuw uitvoerbaar programma met de naam mapi32.exe aan te maken. Het bestand bleek te zijn ver-sleuteld en gecomprimeerd (ofwel gepackt) zoals in de rapportage van 26 augustus 2008 is omschreven, om herkenning door virusscanners te voorkomen.
v. Na het scannen van dit bestand met een antivirusprogramma werd de bot geïdentificeerd als de W32.Toxbot.
D3.
Bij de beoordeling van dit ten laste gelegde feit is de juiste uitleg van de woorden "wederrechtelijk binnendringen" van belang. Het hof heeft daartoe gezocht naar de bedoeling van de wetgever. Van wederrechtelijk binnendringen in de zin van artikel 138a van het Wetboek van Strafrecht is sprake indien men zich de toegang verschaft tegen de onmiskenbare wil van de rechthebbende, welke zowel uit woorden als uit daden kan blijken.
Zoals uit de wetsgeschiedenis blijkt kan daarbij worden gedacht aan het plaatsen van een tekst op het beeldscherm dat toegang voor onbevoegden verboden is. Maar omdat deze woorden een per ongeluk tot stand gekomen toegang niet uitsluiten, bevat voornoemd artikel 138a onder meer ook het aanvullende vereiste dat sprake moet zijn van enige beveiliging, ofwel een kenbare drempel zodat onbevoegden zich niet simpelweg de toegang kunnen verschaffen. (Tweede Kamer, vergaderjaar 1991-1992, 21 551, nr. 11, pagina 18). Artikel 138a verlangt niet meer dan een minimale, doch wel daadwerkelijke beveiliging. Met andere woorden; indien het slachtoffer van computervredebreuk kan aantonen dat er sprake is van enige reële beveiliging dan is dat voldoende. (Tweede Kamer, vergaderjaar 1989-1990, 21 551, nr. 3, pagina 16).
D4.
Het hof leidt uit de vorenstaande onder Dl. ad m. tot en met q. opgenomen feiten en omstandigheden af dat iedere versie van Windows XP, zodra een particulier die aankoopt, is uitgerust met (een standaard) beveiliging. Naar het oordeel van het hof is hierbij sprake van enige reële beveiliging zoals hiervoor onder D3. is beschreven. Met betrekking tot deze beveiliging acht het hof tevens de rapportage van verbalisant [verbalisant 1] van 26 augustus 2008 van belang, waar deze het volgende inhoudt:
"Als het gaat om een belangrijke beveiliging van XP in een netwerkomgeving als internet, is het volgende punt in dit verband het belangrijkste voorbeeld: Windows XP is een Windows variant uit de zogenaamde 'NT' familie, ontstaat uit Windows NT3.5 opgevolgd door Windows NT4.0, Windows 2000, Windows XP en Windows Vista. In de versies tot en met Windows 2000 was het in sommige gevallen mogelijk om deze via het netwerk te benaderen en er met gebruikmaking van Administratorrechten bestanden naar toe te sturen en zelfs uit te voeren. De genoemde methode maakte gebruik van de standaard door Windows aangemaakte verborgen shares als C$ en ADMIN$. Microsoft heeft deze optie van administrator toegang bij de introductie van XP bewust geblokkeerd en actief deze manier van niet-geautoriseerd gebruik beveiligd door deze toegang van buitenaf gebruik te laten maken van de geminimaliseerde rechten van het standaard aanwezige 'Guest' account. Een dergelijk Guest account heeft onvoldoende systeemrechten om die dingen te doen die door middel van het Toxbot virus wel worden gedaan. ( ) Het blokkeren van de verborgen shares nam voor anderen de laatste mogelijkheid weg om via het netwerk administrator rechten te verkrijgen zonder actief een beveiliging te doorbreken. In 2003 werden manieren ontdekt om via de oude ingangen van de hidden shares toch toegang te verkrijgen.".
Voorts blijkt uit hetgeen onder D1. ad r. tot en met u. is opgenomen dat verdachte het virus zodanig versleutelde en comprimeerde (het zogenoemde packing), dat het betreffende systeem het virus niet als een fout herkende. Het virus verspreidde zichzelf ver-volgens als een 'worm' middels de besmette computer naar andere computers. Deze werkwijze houdt naar het oordeel van het hof niets anders in dan dat verdachte niet alleen gaten in systeembeveiliging opzocht ten einde als administrator/system en aldus onder een valse hoedanigheid in de zin van artikel 138a van het Wetboek van Strafrecht, binnen te dringen, maar zich daarbij tevens bediende van een technische ingreep met behulp van valse signalen, te weten door in dit geval verhuld en onherkenbaar, middels het 'verpakte' virus binnen te dringen.
Gelet op de gehanteerde werkwijze, als hiervoor weergegeven is het hof van oordeel dat er sprake is van het doorbreken van de systeembeveiliging en van het verwerven van toegang middels een technische ingreep (tegen de onmiskenbare wil van de recht-hebbende) als bedoeld in artikel 138a van het Wetboek van Strafrecht.
D5.
Gelet op het vorenstaande onder D4 overwogene waren ook de versies van vóór Windows XP (onder meer Windows NT 3.5, Windows NT 4.0 en Windows 2000) voorzien van een minimale (standaard) beveiliging. Het vorenstaande heeft derhalve ook te gelden voor zover is binnengedrongen in Windows systemen anders dan Windows XP.
Het hof verwerpt in zoverre het verweer."
2.3. Art. 138a, eerste en derde lid, Sr luidde in de periode waarop de tenlastelegging betrekking heeft, als volgt:
"1. Met gevangenisstraf van ten hoogste zes maanden of geldboete van de derde categorie wordt, als schuldig aan computervredebreuk, gestraft hij die opzettelijk wederrechtelijk binnendringt in een geautomatiseerd werk voor de opslag of verwerking van gegevens, of in een deel daarvan, indien hij
a. daarbij enige beveiliging doorbreekt of
b. de toegang verwerft door een technische ingreep, met behulp van valse signalen of een valse sleutel dan wel door het aannemen van een valse hoedanigheid.
(...)
3. Met gevangenisstraf van ten hoogste vier jaren of geldboete van de vierde categorie wordt gestraft computervredebreuk gepleegd door tussenkomst van een openbaar telecommunicatienetwerk, indien de dader vervolgens
(...)
b. door tussenkomst van het geautomatiseerd werk waarin hij is binnengedrongen de toegang verwerft tot het geautomatiseerd werk van een derde."
2.4. Het Hof heeft geoordeeld dat elke consumentenversie van het computerbesturingssysteem Windows XP is voorzien van enige beveiliging in de zin van art. 138a, eerste lid aanhef en onder a, (oud) Sr. Dat oordeel geeft in het licht van hetgeen het Hof zoals hiervoor weergegeven heeft overwogen geen blijk van een onjuiste rechtsopvatting en is niet onbegrijpelijk. Hierop stuit het middel af voor zover dat opkomt tegen de verwerping van het verweer dat door de verdachte en zijn mededader geen beveiliging is doorbroken.
Opmerking verdient daarbij dat onder het doorbreken van enige beveiliging, zoals bedoeld in art. 138a, eerste lid onder a, (oud) Sr, mede dient te worden verstaan het tegen de wil van de rechthebbende binnendringen in een computer langs een weg die de aanwezige beveiliging niet of onvoldoende afsluit. Daarbij is, anders dan de steller van het middel betoogt, niet van belang of die opening inherent is aan het systeem of is veroorzaakt door andere 'aanvallers'.
2.5. Voor zover het middel opkomt tegen de verwerping van het verweer dat geen sprake is van een technische ingreep met de klacht dat dit niet uit de bewijsmiddelen kan worden afgeleid, faalt het bij gebrek aan feitelijke grondslag. Het middel berust immers op een onjuiste lezing van 's Hofs arrest, waar het betoogt dat het Hof zou hebben geoordeeld dat de technische ingreep enkel zou bestaan in het verpakken van het virus. Het oordeel van het Hof moet immers aldus worden verstaan dat het als de in de bewezenverklaring bedoelde technische ingreep heeft aangemerkt het samenstel van alle handelingen die nodig waren voor de verspreiding van het virus. Dat oordeel geeft geen blijk van een onjuiste rechtsopvatting en is niet onbegrijpelijk.
2.6. Het middel faalt.
3. Beoordeling van het middel van de Advocaat-Generaal bij het Hof
3.1. Het middel behelst de klacht dat het Hof bij de gegeven vrijspraak van het aan de verdachte onder 2 en 3 tenlastegelegde een onjuiste uitleg heeft gegeven aan art. 161sexies, aanhef en onder 2°, (oud) Sr, in het bijzonder aan de aan die bepaling ontleende en in de tenlastelegging opgenomen bestanddelen "geautomatiseerd werk" en "gemeen gevaar voor de verlening van diensten".
3.2.1. Aan de verdachte is onder 2 en 3 tenlastegelegd dat:
"2.
hij op één of meer tijdstip(pen) in of omstreeks de periode van 6 juli 2005 tot en met 4 oktober 2005 te Loon op Zand, althans in Nederland, tezamen en in vereniging met één of meer ander(en), althans alleen, (telkens) opzettelijk één of meer geautomatiseerde werk(en) voor de opslag of verwerking van gegevens, te weten één of meer computer(s) en/of server(s), heeft beschadigd of onbruikbaar gemaakt en/of stoornis in de gang of in de werking van zodanig werk heeft veroorzaakt en/of een ten opzichte van zodanig werk genomen veiligheidsmaatregelen heeft verijdeld,
immers, heeft/hebben verdachte en/of zijn mededader(s) (telkens)
- één of meer (versie(s) van een) virus(en) en/of trojan(s) gemaakt en/of ontwikkeld ((onder meer) bekend onder de naam Wayphisher) en/of;
- (aan een/zijn botnetwerk) één of meer opdracht(en) gegeven het/de (door verdachte en/of zijn mededader(s) (mede) gemaakte en/of ontwikkelde (versie(s) virus(sen) en/of trojan(s) te downloaden en/of op de betreffende en/of één of meer andere computer(s) te installeren (waarna het betreffende virus en/of trojan is geïnstalleerd) waardoor gemeen gevaar voor goederen en/of voor de verlening van diensten te duchten is geweest immers,
- de gebruikers van de aldus 'besmette' computer(s) waren niet meer in staat om betrouwbaar gebruik te maken van een/de online (bancaire) dienst(en) (die doelwit waren van het virus en/of de trojan) (immers werd die gebruiker bij/na het gebruik van (een) internetadressen) (van(een) bank(en)) omgeleid naar één of meer andere internetadressen en/of (waarna) de inloggegevens (ten behoeve van het online/electronisch bankieren) konden en/of werden onderschept) en/of
- (waarna) verdachte en/of zijn mededader(s) de beschikking kre(e)g(en) over bancaire en/of andere gegeven(s) toebehorende aan één of meer van die gebruiker(s);
3.
hij op één of meer tijdstip(pen) in of omstreeks de periode van 6 juli 2005 tot en met 4 oktober 2005 te Loon op Zand, althans in Nederland, tezamen en in vereniging met één of meer ander(en), althans alleen, (telkens) opzettelijk één of meer geautomatiseerde werk(en) voor de opslag of verwerking van gegevens,
te weten één of meer computer(s) en/of server(s), heeft beschadigd of onbruikbaar gemaakt en/of stoornis in de gang of in de werking van zodanig werk heeft veroorzaakt en/of een ten opzichte van zodanig werk genomen veiligheidsmaatregelen heeft verijdeld,
immers, heeft/hebben verdachte en/of zijn mededader(s) (telkens):
- één of meer (versie(s) van een) virus(sen) gemaakt en/of ontwikkeld ((onder meer) bekend onder de naam Toxbot) en/of
- dit/deze virus(sen) op één of meer andere computer(s) geïnstalleerd en/of doen installeren,
waarna het/de (aldus besmette) geautomatiseerde werk(en) (vervolgens) (automatisch) herstartte(n) en/of crashte(n), waardoor gemeen gevaar voor goederen en/of voor de verlening van diensten te duchten is geweest,
immers werden (hierdoor) de toetsaanslagen van de gebruiker(s) van de aldus besmette computer(s) (zonder medeweten van die gebruiker(s)) vastgelegd, waardoor verdachte en/of zijn mededader(s) de beschikking kre(e)g(en) over:
- financiële/bancaire gegevens van één of meer bank(en) en/of creditcard maatschappijen ) en/of;
- inlog- en wachtwoordgegevens van één of meer Paypal-account(s) en/of;
- inlog- en wachtwoordgegevens van één of meer Ebay-account(s) en/of;
- één of meer ander(e) gegeven(s)
van (één of meer van) die gebruiker(s)."
3.2.2. Het Hof heeft de verdachte van het onder 2 en 3 tenlastegelegde vrijgesproken. Het heeft dienaangaande overwogen:
"Op grond van het onderzoek ter terechtzitting in hoger beroep is het volgende gebleken. Aan verdachte is onder 2 en 3 telkens ten laste gelegd het misdrijf als bedoeld in artikel 161sexies, aanhef en onder 2°, van het Wetboek van Strafrecht, zoals dit artikel luidde in de ten laste gelegde periode, en waarin is strafbaar gesteld:
"hij die opzettelijk enig geautomatiseerd werk voor opslag of verwerking van gegevens of enig werk voor telecommunicatie vernielt, beschadigt of onbruikbaar maakt, stoornis in de gang of in de werking van zodanig werk veroorzaakt, of een ten opzichte van zodanig werk genomen veiligheidsmaatregel verijdelt, indien daarvan gemeen gevaar voor goederen of voor de verlening van diensten te duchten is".
Bij de beoordeling van deze ten laste gelegde feiten is de juiste uitleg van de woorden "gemeen gevaar voor goederen of voor de verlening van diensten" van belang. Het hof heeft daartoe gezocht naar de bedoeling van de wetgever.
De wetgever heeft artikel 161sexies een plaats gegeven in Titel VII van het Tweede Boek van het Wetboek van Strafrecht, waarin "Misdrijven waardoor de algemene veiligheid van personen of goederen in gevaar wordt gebracht" worden omschreven.
Voorts blijkt uit de Memorie van Toelichting dat deze bepaling ziet op gedragingen die gevaar veroorzaken voor personen of goederen, zonder dat deze gedragingen zich richten tegen bepaalde goederen of bepaalde personen (Tweede Kamer, vergaderjaar 1989-1990, 21 551, nr. 3, pagina 19).
Ook in de Memorie van Antwoord geeft de minister aan dat het voorgestelde artikel betrekking heeft op een dienst met "gegevensverwerking of telecommunicatie ten algemene nutte" (Tweede Kamer, vergaderjaar 1989-1990, 21551, nr. 6, pagina 36).
De wetgever heeft kennelijk de strafrechtelijke bescherming van geautomatiseerde werken die gemeen/ ten algemene nutte worden gebruikt, voor ogen gehad.
Het hof is van oordeel dat op grond van de wettige bewijsmiddelen niet is komen vast te staan dat als gevolg van de handelingen van verdachte gemeen gevaar voor goederen of voor de verlening van diensten te duchten is geweest. Het hof kan (slechts) vaststellen dat verdachte via de besmetting met een virus een storing heeft veroorzaakt in de computers van individuele gebruikers (zijnde de computers van de particulieren en/of de bedrijven welke deel uitmaakten van het botnetwerk van verdachte). Deze (rechtspersonen waren daardoor (tijdelijk) niet in staat op een veilige wijze gebruik te maken van geautomatiseerde werken van bancaire instellingen of creditcardmaatschappijen.
Niet is komen vast te staan dat ook een storing is veroorzaakt in geautomatiseerde werken van de betreffende bancaire instellingen of creditcardmaatschappijen zelf, waardoor er een gemeen gevaar zou kunnen zijn ontstaan voor de verlening van diensten aan de vele (andere) gebruikers van deze geautomatiseerde werken.
Het hof is op grond van het vorenstaande van oordeel, dat het onder 2 en 3 ten laste gelegde niet kan worden bewezen verklaard."
3.3. Het middel stelt in het bijzonder de vraag aan de orde of gemeen gevaar voor de verlening van diensten kan zijn te duchten in de zin van art. 161sexies, aanhef en onder 2°, (oud) Sr, indien het handelen van de verdachte niet is gericht op de computers van dienstverlenende instellingen, maar op de computers van afnemers van de desbetreffende diensten.
3.4.1. Art. 161sexies, aanhef en onder 2°, Sr luidde in de periode waarop de tenlastelegging betrekking heeft als volgt:
"Hij die opzettelijk enig geautomatiseerd werk voor opslag of verwerking van gegevens of enig werk voor telecommunicatie vernielt, beschadigt of onbruikbaar maakt, stoornis in de gang of in de werking van zodanig werk veroorzaakt, of een ten opzichte van zodanig werk genomen veiligheidsmaatregel verijdelt, wordt gestraft:
(...)
2°. met gevangenisstraf van ten hoogste zes jaren of geldboete van de vijfde categorie, indien daarvan gemeen gevaar voor goederen of voor de verlening van diensten te duchten is."
3.4.2. Aan de totstandkomingsgeschiedenis van de Wet van 23 december 1992 tot wijziging van het Wetboek van Strafrecht en het Wetboek van Strafvordering in verband met de voortschrijdende toepassing van informatietechniek (Wet computercriminaliteit), Stb. 1993, 33, waarbij art. 161sexies Sr is ingevoerd, kan het volgende worden ontleend waar het betreft de memorie van toelichting:
"In het algemeen is getracht in de juridische omschrijvingen zoveel mogelijk te abstraheren van de huidige stand der techniek en in de plaats daarvan aansluiting te zoeken bij de maatschappelijke functie van de nieuwe technische mogelijkheden. Dit betekent dat gezocht is naar begrippen die ook bruikbaar blijven indien door nieuwe technische ontwikkelingen op geheel andere wijze dan thans toch dezelfde maatschappelijke functie op informatietechnologisch gebied wordt vervuld.
(...)
Een tweede nieuw begrip dat in dit wetsvoorstel wordt geïntroduceerd is dat van een "geautomatiseerd werk". Hieronder wordt verstaan elke inrichting die met technische middelen geschikt is gemaakt voor de opslag, verwerking of overdracht van gegevens. Het begrip "geautomatiseerd" duidt op een functioneren van het werk voor een deel onafhankelijk van menselijk ingrijpen. Hieronder vallen dus computers, netwerken van aan elkaar verbonden computers en inrichtingen voor telecommunicatie. Hieronder vallen dus niet werken die uitsluitend bestemd zijn voor de opslag van gegevens of eenvoudige werken die in beginsel slechts bestemd zijn om te functioneren zonder interactie met hun omgeving, zoals een elektronisch klokje.
(...)
Titel VII van het Tweede Boek van het Wetboek van Strafrecht draagt het opschrift "Misdrijven waardoor de algemene veiligheid van personen of goederen in gevaar wordt gebracht". De titel bevat bepalingen die zien op gedragingen die gevaar veroorzaken voor personen of goederen, zonder dat deze gedragingen zich richten tegen bepaalde goederen of personen. Het gaat bij voorbeeld om brandstichting, aantasting van de elektriciteitsvoorziening, het blootstellen aan radioactiviteit, de verstoring van het weg-, scheepvaart- of luchtverkeer en ernstige verontreinigingen van het milieu. De afhankelijkheid van de tegenwoordige samenleving van de geautomatiseerde opslag, verwerking en overdracht van gegevens is zo groot dat een daarop betrekking hebbende bepaling in deze Titel wenselijk is.
De voorgestelde bepaling sluit aan bij de bestaande bepalingen in deze Titel. In wezen gaat het er om dat steeds, zo niet dezelfde, dan toch in zwaarte vergelijkbare belangen worden gediend. De verschillende bepalingen onderscheiden zich naar de herkomst van de bedreiging van deze belangen. De plaats die de geautomatiseerde opslag, verwerking en overdracht van gegevens in de samenleving is gaan innemen, rechtvaardigt de strafbaarstelling van een mogelijke aantasting van deze belangen vanuit deze optiek.
Op overeenkomstige wijze als de andere bepalingen in deze titel zijn opgezet, is onderscheiden tussen een opzet- en een schuldvariant. De schuld omvat volgens vaste jurisprudentie niet alle, ook de geringste onachtzaamheid, maar alleen een min of meer grove of aanmerkelijke onvoorzichtigheid, onachtzaamheid of nalatigheid.
Nieuw is dat onder de te beschermen belangen ook de verlening van diensten is opgenomen. De verlening van diensten is in economisch opzicht in de informatiemaatschappij van vergelijkbaar belang als de produktie van en de handel in goederen. Overigens gaat het in dit artikel niet alleen om de commerciële dienstverlening, doch ook om de non-commerciële, bij voorbeeld in de sfeer van de gezondheidszorg."
(Kamerstukken II 1989-1990, 21 551, nr. 3, p. 4-6 en p. 19-20)
waar het betreft de memorie van antwoord:
"Het "gemeen" gevaar ziet, zoals ook blijkt uit het opschrift van Titel VII, waarin de voorgestelde bepaling zal worden ingevoegd, op de algemene veiligheid.
Noyon-Langemeijer-Remmelink zegt hierover dat de veroorzaker van het gevaar de omvang van het gevaar vooraf niet kan berekenen of naar willekeur bepalen. Gemeen gevaar voor de verlening van diensten ziet dus op een zodanige stoornis van een geautomatiseerd werk dat vooraf geen inzicht kan worden gevormd over de omvang van de schade die daardoor wordt aangericht. Beperkt de stoornis zich tot een computer die betrekking heeft op een bepaald soort dienstverlening, die door de schade uitvalt, zonder dat verderstrekkende gevolgen kunnen intreden, dan is er geen sprake van gemeen gevaar. Bij dit alles is het van geen belang of de dienstverlening plaatsvindt ten algemenen nutte dan wel binnen een sector van het bedrijfsleven, bij voorbeeld het bankwezen.
De verhindering en bemoeilijking van de opslag of verwerking van gegevens is van een geheel andere orde. Geenszins behoeft daardoor de dienstverlening in gevaar te komen. Evenmin gaat het om een gevaar. Slechts indien daadwerkelijk de opslag of verwerking wordt belemmerd, is er sprake van strafbaarheid. Te denken valt aan een merkbare vertraging in het functioneren van een geautomatiseerd werk of in hinderlijke fouten in het functioneren van de computer die steeds moeten worden hersteld. De reikwijdte van deze strafbepaling is beperkt tot geautomatiseerde werken ten algemenen nutte. Dan is er immers een belang van ruimere strekking dan alleen het belang van de desbetreffende organisatie. Binnen het particuliere bedrijfsleven is men aangewezen op civielrechtelijke middelen, bij voorbeeld het ontslag van het personeel dat de bemoeilijking veroorzaakt. Voor alle duidelijkheid wijs ik erop dat het hier niet gaat om een storing die wordt veroorzaakt doordat programmagegevens worden gewijzigd. Is dit het geval dan wordt het voorgestelde artikel 350a overtreden."
(Kamerstukken II 1990-1991, 21551, nr. 6, p. 13).
3.5. In de tekst van art. 161sexies, aanhef en onder 2°, (oud) Sr wordt wat betreft de term "geautomatiseerd werk" geen onderscheid gemaakt tussen computers van dienstverlenende instellingen en computers van afnemers van diensten.
Ook in de wetsgeschiedenis wordt dat onderscheid niet gemaakt. Blijkens de hiervoor weergegeven onderdelen van die wetsgeschiedenis beoogde de wetgever met de invoering van deze bepaling onder meer strafrechtelijke bescherming te verlenen aan het belang van de verlening van diensten, voor zover deze in gevaar gebracht kan worden door, onder meer, het opzettelijk veroorzaken van een stoornis in de werking van een geautomatiseerd werk.
Onder het begrip geautomatiseerd werk dienen, aldus de memorie van toelichting, ook computers en netwerken van aan elkaar verbonden computers te worden begrepen, terwijl in het verlengde daarvan op grond van de door de wetgever voorgestane dynamische wetsuitleg daarbij tegenwoordig ook moet worden gedacht aan, zoals in het onderhavige geval, een reeks van computers die door middel van schadelijke, via het internet verspreide software met elkaar zijn verbonden.
Onder "gemeen gevaar" dient in dit verband mede te worden verstaan het gevaar voor een ongestoorde dienstverlening aan een onbestemd doch aanmerkelijk aantal afnemers.
Uit een en ander moet worden afgeleid dat voor de beantwoording van de vraag of een stoornis is veroorzaakt in een geautomatiseerd werk en of daarvan gemeen gevaar voor de verlening van diensten te duchten is geweest, zoals bedoeld in art. 161sexies, aanhef en onder 2°, (oud) Sr, niet van doorslaggevende betekenis is of die stoornis wordt veroorzaakt in de computers van de afnemers van een dienst, ook als die door een netwerk aan elkaar zijn verbonden, dan wel van dergelijke computers van de dienstverlener, maar dat het erom gaat of van de opzettelijk veroorzaakte stoornis gemeen gevaar te duchten was voor een ongestoorde dienstverlening.
3.6. Het Hof heeft geoordeeld dat de wetgever met de strafbaarstelling van art. 161sexies, aanhef en onder 2°, Sr "kennelijk de strafrechtelijke bescherming van geautomatiseerde werken die gemeen/ten algemene nutte worden gebruikt, voor ogen [heeft] gehad" en heeft aan het bewijs van het te duchten gemeen gevaar voor de verlening van diensten de voorwaarde verbonden dat "een storing is veroorzaakt in geautomatiseerde werken van de betreffende bancaire instellingen of creditcardmaatschappijen zelf".
Het Hof heeft daarbij kennelijk onderscheid gemaakt tussen de computers van de afnemers van een dienst en de computers van de dienstverlener, in die zin dat een stoornis in de computers van de afnemers niet het in de meergenoemde bepaling bedoelde te duchten gemeen gevaar voor de verlening van diensten kan opleveren.
Daarmee heeft het Hof miskend hetgeen hiervoor onder 3.5 is overwogen en heeft het aan de vrijspraak van de verdachte van de onder 2 en 3 tenlastegelegde feiten een onjuiste rechtsopvatting ten grondslag gelegd.
3.7. Het middel is dus terecht voorgesteld.
4. Slotsom
Nu de Hoge Raad geen grond aanwezig oordeelt waarop de bestreden uitspraak ambtshalve zou behoren te worden vernietigd, brengt hetgeen hiervoor is overwogen mee dat als volgt moet worden beslist.
5. Beslissing
De Hoge Raad:
vernietigt de bestreden uitspraak maar uitsluitend wat betreft de beslissingen ter zake van het onder 2 en 3 tenlastegelegde en de strafoplegging;
verwijst de zaak naar het Gerechtshof te 's-Gravenhage, opdat de zaak in zoverre op het bestaande hoger beroep opnieuw wordt berecht en afgedaan;
verwerpt het beroep voor het overige.
Dit arrest is gewezen door de vice-president A.J.A. van Dorst als voorzitter, en de raadsheren B.C. de Savornin Lohman, J.W. Ilsink, J. de Hullu en M.A. Loth, in bijzijn van de griffier S.P. Bakker, en uitgesproken op 22 februari 2011.